Компрометиран NPM пакет axios, който има 100 млн сваляния на седмица

Злонамерени лица успели да прихванат акаунта на поддържащия и да пуснат две вредоносни версии на NPM пакета axios, предлагащ реализация на HTTP клиент за браузъри и Node.js. Пакетът axios има над 100 млн сваляния на седмица и се използва като зависимост от 174 хиляди други пакета. Вредоносните промени били интегрирани в версиите Axios 1.14.1 и 0.30.4 чрез замяна на фалшивата зависимост plain-crypto-js 4.2.1, съдържаща код за зареждане на компоненти, получаващи команди от управляващия сървър на злонамеренците. Вредоносните версии били предложени за сваляне на 31 март в течение на почти 3 часа — от 03:21 до 6:15 (MSK).

Вредоносните версии били публикувани в NPM директно, използвайки данните за достъп на главния поддържащ на проекта axios ("jasonsaayman"), заобикаляйки стандартния механизъм за публикуване на нови версии, основан на GitHub Actions. Предполага се, че атакуващите успели да прихванат токена за достъп до NPM от поддържащия и след това влезли в акаунта, променяйки свързването с имейл. Начинът, по който е бил прихванат токенът за достъп, не е уточнен.

Злонамереният код бил поставен в пакета plain-crypto-js в файла setup.js, активирал се след завършването на инсталацията на NPM пакета чрез обработчик postinstall (‘postinstall: «node setup.js»‘) и се използвал за зареждане и инсталиране на троян, който атакува системи с Windows, macOS и Linux. За да скрие присъствието си, след активиране вредоносният компонент изтривал файла setup.js и заменял package.json с версия без postinstall-хук.

В macOS вредоносният изпълним файл се зареждал като «/Library/Caches/com.apple.act.mond», в Windows — «%PROGRAMDATA%\wt.exe», в Linux — «/tmp/ld.py». След активирането в Linux и macOS на всеки 60 секунди на злонамеренците се изпращал команден заявка за изпълнение на атакуваната система, които могли да се използват за зареждане на допълнителни вредоносни компоненти, изпълнение на произволни shell команди и търсене/изпращане на определени файлове. сървър Вредоносната активност в Linux и macOS не предвиждала запазване на присъствието след рестартиране и е била проектирана за бързо събиране на конфиденциални данни, пароли, токени и ключове за достъп. В Windows създавал файл «%PROGRAMDATA%\system.bat», който извличал вредоносния компонент с

злонамеренците при всяко влизане в системата. сървър атакуващи всеки път при влизане в системата.

Източник: opennet.ru